Active Directory 環境でWindows端末を管理する仕組みとして、前回の記事ではグループポリシー（GPO）を取り上げました。(GPOの管理用テンプレートとは？ADMX / ADMLの役割とポリシー例を整理する - JBS Tech Blog)
一方で、Microsoft Intune を利用した端末管理も広く使われるようになっており、「この設定はGPOで入れるべきか、Intuneで入れるべきか」と迷う場面があります。
本記事では、GPOとIntuneの構成プロファイルの違いや使い分けについて整理します。
GPOの振り返り
GPO（Group Policy Object）は、Active Directory ドメインに参加しているユーザーやコンピューターに対して、設定を配布する仕組みです。
たとえば、Windows Updateの動作制御やコントロールパネルの制限など、管理者が共通ルールをまとめて適用できます。
GPOの適用には、端末がActive Directory ドメインに参加していることと、ドメインコントローラーと通信できることが前提となります。
管理用テンプレート（ADMX / ADML）によって設定項目が定義されており、詳細は前回の記事で整理しています。
Intuneの構成プロファイルとは何か
Intuneの構成プロファイルは、Microsoft Intune を通じて端末へ設定を配布する仕組みです。
GPOがActive Directory を経由して設定を配布するのに対し、Intuneはクラウド経由で配布します。そのため、端末がインターネットに接続できれば、社内ネットワークに接続していなくても設定を受け取ることができます。
構成プロファイルでは、GPOと同様にWindows Updateの制御やデバイスの機能制限といった設定が可能です。
また、Intuneの管理対象はWindowsだけではなく、iOS、Android、macOSにも対応しています。
GPOとIntuneの違い
GPOとIntuneの構成プロファイルは、どちらも端末へ設定を配布するという目的は同じですが、仕組みや前提条件が異なります。
主な違いを以下に整理します。
| 項目 | GPO | Intune 構成プロファイル |
|---|---|---|
| 配布経路 | Active Directory（オンプレミス） | クラウド（Intune サービス） |
| 対象端末の前提 | ADドメイン参加済み | Entra ID 登録 / 参加済み + Intune登録済み |
| 通信要件 | ドメインコントローラーへの接続 | インターネット接続 |
| 対応OS | Windows | Windows / iOS / Android / macOS |
| 適用タイミング | 起動時・ログイン時・定期更新（既定90分） | チェックイン時（既定8時間ごと） |
| 設定の仕組み | レジストリベース（ADMX定義） | CSP（Configuration Service Provider）ベース |
| 管理コンソール | グループポリシー管理コンソール（GPMC） | Intune 管理センター（Web） |
| 対象の指定方法 | OU / セキュリティグループフィルター | Entra ID グループ（ユーザー / デバイス） |
設定の仕組みについて補足すると、GPOはレジストリ値を書き換える形で設定を適用します。一方、IntuneはCSP（Configuration Service Provider）というWindows側のMDMチャネルを通じて設定を適用します。
どちらも最終的にはWindowsの動作を制御しますが、設定の届け方が異なるという点がポイントです。
どう使い分けるか
使い分けの基本的な考え方は、端末がどのようにIDプロバイダーへ参加しているかによります。
Active Directory ドメイン参加のみの場合
端末がADドメインにのみ参加している環境では、GPOで設定を配布します。
Intuneの構成プロファイルを利用するには、端末がEntra IDに登録されており、かつIntune に登録されている必要があるためです。
Entra ID 参加（Entra Join）のみの場合
端末がEntra IDにのみ参加している場合は、GPOは利用できません。オンプレミスのActive Directory ドメインに参加していないため、ドメインコントローラーからポリシーを受け取ることができません。
この場合は、Intuneの構成プロファイルで設定を配布します。
ハイブリッド構成（Entra Hybrid Join）の場合
端末がActive Directory とEntra IDの両方に参加しているハイブリッド構成では、GPOとIntuneの両方が利用可能です。
この場合、設定の種類や管理方針に応じてどちらを使うかを整理する必要があります。
たとえば、既存のGPOで運用が安定している設定はそのまま残し、新規に追加する設定やクラウド管理へ移行したい設定はIntuneで管理する、といった分け方が考えられます。
ただし、同じ設定をGPOとIntuneの両方で構成すると競合が発生する可能性があるため、注意が必要です。
共存する場合の注意点
ハイブリッド構成のように、GPOとIntuneが同じ端末に適用される環境では、同じ設定項目が競合する場合があります。
既定では、GPOとIntuneで同じ設定項目が構成されている場合、GPO側の設定が優先されます。
MDM（Intune）側の設定を優先させたい場合は、Intuneの構成プロファイルからカスタムOMA-URIで、以下のCSP設定を配布する必要があります。
| 項目 | 値 |
|---|---|
| 名前 | 任意 |
| 説明 | 任意 |
| OMA-URI | ./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP |
| データ型 | 整数 |
| 値 | 1 |
構成プロファイルの作成手順としては、Intune管理センターでプロファイルの種類を「テンプレート」→「カスタム」と選択し、上記のOMA-URI設定を追加します。
「行の追加」が表示されたら、先ほどの表の値を参照し、設定値を入力します。
この設定を有効にすると、Policy CSPで管理される競合ポリシーについては、GPOよりMDM側が優先される動作に変わります。
ただし、すべてのIntune設定に対して一律に適用されるものではありません。
設定項目の注意点
また、すべてのGPO設定にIntuneの対応項目があるわけではありません。
Intune管理センターにはグループポリシー分析という機能があり、既存のGPOをインポートして、Intuneで対応可能な設定項目がどの程度あるかを確認できます。
GPOからIntuneへの移行を検討する場合は、まずこの機能で既存GPOの対応状況を確認しておくと、移行計画を立てやすくなります。
まとめ
本記事では、GPOとIntuneの構成プロファイルの違いや使い分けについて整理しました。
ポイントは以下のとおりです。
- GPOはActive Directory 経由、Intuneはクラウド経由で設定を配布する
- GPOはADドメイン参加端末が対象、Intuneの構成プロファイルはEntra ID + Intune登録済み端末が対象
- 端末の参加状態（AD参加 / Entra Join / Hybrid Join）によって、利用可能な管理手段が決まる
- ハイブリッド構成では両方を利用できるが、既定ではGPOが優先される。MDMを優先させるにはIntune側からの明示的な設定が必要
- Intuneのグループポリシー分析機能で、既存GPOの移行可能性を事前に確認できる
GPOとIntuneは対立する仕組みではなく、環境や管理方針に応じて使い分ける、または段階的に移行していくものです。
まずは自社の端末がどのようにIDプロバイダーへ参加しているかを確認すると、どちらを使うべきかの判断がしやすくなります。
